Una investigación de Fog Security reveló que Google Gemini permitió a los usuarios descargar imágenes generadas por IA que sus propios filtros de seguridad habían rechazado mostrar. Este fallo no requería de ningún "jailbreak"; simplemente, la función de descarga entregaba ocasionalmente la imagen bloqueada mientras que en el chat se mostraba una imagen diferente y permitida.

Google Gemini permitió que los usuarios descargaran imágenes generadas por IA que sus filtros de seguridad se habían negado a mostrar, según una investigación publicada por Fog Security el 5 de noviembre de 2026.

La vulnerabilidad no requirió de un jailbreak. En su lugar, la función de descarga a veces entregaba una imagen rechazada mientras que la conversación mostraba una imagen diferente y permitida.

Evasión del filtro de seguridad de imágenes de Gemini

Fog Security informó del problema a Google en junio de 2026. Para el 22 de octubre, los investigadores ya no pudieron reproducirlo en 12 nuevos intentos, y las conversaciones antiguas descargaban las imágenes correctas.

Google atribuyó el cambio a un mantenimiento rutinario en lugar de a una corrección vinculada al informe. Un fallo en la aplicación web de Gemini permitió que las imágenes bloqueadas evadieran los rechazos de seguridad a través de la ruta de descarga a tamaño completo, a pesar de permanecer restringidas en el chat.

Los investigadores primero enviaron una solicitud de imagen que provocó un rechazo y, luego, solicitaron una imagen diferente y permitida. Aunque la imagen permitida aparecía en pantalla, su botón de descarga a veces recuperaba el resultado rechazado.

Los resultados variaron desde archivos borrosos e incompletos hasta imágenes completas, con pruebas exitosas a lo largo de varios días y sesiones. Ambas URLs de imagen utilizaban lh3.googleusercontent.com y requerían la sesión del usuario autenticado. Los enlaces integrados terminaban en =s1024-rj, mientras que los enlaces de descarga terminaban en =s0-d-I.

Los investigadores sospecharon de un error de gestión de estado que involucraba la generación de imágenes, los controles de seguridad y la limpieza de datos. Esa explicación sigue sin confirmarse.

Un informe de la comunidad de Google de diciembre de 2025 también describió descargas que devolvían imágenes antiguas en lugar de la vista previa mostrada. Sin embargo, esa queja no estableció una evasión de seguridad.

A diferencia de la inyección de prompts dirigida a la memoria de Gemini, este problema no dependía de instrucciones ocultas que cambiaran el comportamiento del asistente.

También difirió de los jailbreaks de IA que utilizan el prellenado del asistente, que empujan a los modelos hacia respuestas prohibidas. Aquí, el rechazo permanecía intacto mientras que la entrega del archivo no lograba aplicarlo.

Fog Security probó con personajes protegidos por derechos de autor, una persona sintética y la propia imagen del investigador. No probó contenido de seguridad infantil ni imágenes que involucraran a otras personas reales. No se informó de ningún acceso a datos de otros usuarios ni de escalada de privilegios.

Google marcó inicialmente el informe del 25 de junio como fuera de alcance, y luego lo revisó después de que los investigadores recalcaran el problema de infraestructura. Se negó a rastrear un error de abuso el 30 de septiembre. El 23 de octubre, Google afirmó que no se había abierto ningún ticket interno y cerró el informe.

Fog Security recomienda vincular cada descarga a su vista previa aprobada y eliminar los archivos de las generaciones rechazadas o fallidas. El hallazgo muestra por qué las pruebas de seguridad de la IA deben cubrir los archivos almacenados y los enlaces de descarga, no solo las respuestas del chatbot. Un rechazo protege a los usuarios solo cuando cada ruta de entrega sigue la misma decisión.